26 giugno 2026 – Trenitalia rileva un’anomalia operativa sui propri sistemi informatici. L’incidente, causato da soggetti esterni non ancora identificati, si manifesta come un accesso non autorizzato a un perimetro definito di dati personali, specificamente quelli legati ai titoli di viaggio acquistati da una porzione della clientela. L’attacco non riesce a penetrare le aree più critiche: non vengono compromessi dati di accesso agli account, credenziali personali o, soprattutto, le informazioni finanziarie sensibili come numeri di carte di credito, date di scadenza o codici di sicurezza. L’architettura di sicurezza perimetrale ha retto, ma un segmento della fortezza digitale è stato comunque espugnato. La scoperta dell’intrusione non è istantanea; intercorre un lasso di tempo tra l’effettiva violazione e il suo rilevamento da parte dei sistemi di monitoraggio interni, un ritardo che ha consentito agli attaccanti di esfiltrare un volume di dati non trascurabile.
Questa latenza tra l’azione ostile e la sua identificazione rappresenta il primo, critico punto di faglia nel processo di difesa. Se l’ente avesse implementato un ecosistema come Scudo231, l’analisi comportamentale in tempo reale sui log di accesso e sulle query ai database avrebbe intercettato l’attività anomala nel momento esatto del suo verificarsi. Un motore di intelligenza predittiva, addestrato sui pattern di accesso legittimi, avrebbe classificato le interrogazioni massive e atipiche ai dati dei titoli di viaggio come un indicatore di compromissione di alto livello, generando un alert istantaneo e automatico non solo verso il team di sicurezza informatica, ma anche verso l’Organismo di Vigilanza (ODV). L’escalation sarebbe stata immediata, attivando protocolli di isolamento del segmento di rete interessato e bloccando l’esfiltrazione dei dati prima che potesse completarsi. Il danno, di conseguenza, sarebbe stato confinato a un tentativo di accesso fallito, documentato in un registro immutabile, anziché trasformarsi in una violazione di dati conclamata.
Una volta accertata la breccia, l’azienda avvia le procedure di contenimento e analisi forense. Viene attivata un’unità di crisi per circoscrivere l’impatto, identificare con precisione i clienti interessati e preparare le comunicazioni obbligatorie. Il lavoro è meticoloso e dispendioso in termini di risorse umane e tecnologiche. Ogni cliente il cui dato è stato potenzialmente esposto viene identificato e raggiunto da una comunicazione via email, un’operazione necessaria ma che di fatto certifica pubblicamente l’avvenuta violazione, con inevitabili conseguenze reputazionali. Questa fase reattiva, per quanto gestita con professionalità, è la conseguenza diretta di un controllo preventivo risultato inefficace.
In uno scenario alternativo, l’adozione di un modello organizzativo integrato con sistemi di monitoraggio massivo avrebbe trasformato radicalmente questa fase. La piattaforma Scudo231, operando un censimento ciclico e continuo dei flussi di dati, non si sarebbe limitata a segnalare l’anomalia. Avrebbe fornito una mappatura esatta e immediata dei record interessati dal tentativo di accesso, correlando l’evento con le specifiche procedure aziendali violate. L’ODV avrebbe ricevuto un report automatico contenente la qualificazione giuridica preliminare del fatto come potenziale reato presupposto ai sensi del D.Lgs. 231/2001, in particolare l’art. 615-ter c.p. (Accesso abusivo a un sistema informatico o telematico), richiamato dall’art. 24-bis del decreto. La comunicazione agli interessati, se ancora necessaria, sarebbe stata supportata da evidenze forensi cristallizzate, in grado di dimostrare che l’ente aveva non solo rilevato, ma attivamente combattuto e neutralizzato la minaccia, mitigando l’impatto percepito dall’utente finale e dalle autorità.
Parallelamente all’azione interna, Trenitalia adempie agli obblighi di legge. Viene inoltrata una notifica formale dell’accaduto all’Autorità Garante per la Protezione dei Dati Personali, come previsto dalla normativa vigente in materia di privacy, e al CSIRT Italia (Computer Security Incident Response Team). Questi passaggi, obbligatori e non differibili, aprono formalmente il fronte sanzionatorio amministrativo. Il Garante avvierà una propria istruttoria per valutare l’adeguatezza delle misure di sicurezza tecniche e organizzative adottate dall’azienda per proteggere i dati personali. L’esito di tale valutazione determinerà l’entità di eventuali sanzioni, che possono raggiungere percentuali significative del fatturato globale annuo. La notifica, in questo contesto, è un’ammissione di vulnerabilità.
Con un modello di gestione del rischio penale d’impresa già operativo, la natura stessa di queste notifiche sarebbe mutata. Invece di una semplice comunicazione di “data breach”, l’ente avrebbe potuto presentare alle Autorità un dossier completo, generato dai sistemi di analisi causale, dimostrante che l’incidente era stato arginato da protocolli di sicurezza attivi e che il modello organizzativo 231 era stato efficacemente attuato. Questo non solo avrebbe fornito una solida base per mitigare le sanzioni del Garante, ma avrebbe anche dimostrato l’assenza di una colpa organizzativa, elemento centrale per escludere la responsabilità dell’ente. La prova non sarebbe stata basata su documentazione statica o interviste a campione, ma su log di sistema immodificabili che tracciavano l’attivazione dei presidi di controllo specifici per il reato di accesso abusivo, come richiesto dalle migliori prassi per la conformità al D.Lgs. 231/2001.
Il passo successivo intrapreso da Trenitalia è la presentazione di una denuncia-querela presso la Procura della Repubblica di Roma. Questo atto avvia formalmente un procedimento penale a carico di ignoti, ma espone inevitabilmente l’ente stesso a una valutazione critica da parte dell’autorità giudiziaria. I magistrati inquirenti, infatti, dovranno accertare non solo le responsabilità degli autori materiali dell’attacco, ma anche se l’azienda abbia, con le proprie omissioni in materia di sicurezza, di fatto agevolato la commissione del reato. Si apre così il varco per una potenziale contestazione della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001. Se il Pubblico Ministero dovesse ravvisare una carenza organizzativa – ad esempio, controlli inadeguati, formazione insufficiente del personale, mancato aggiornamento dei sistemi di sicurezza – potrebbe iscrivere la società nel registro degli indagati.
Questa eventualità rappresenta il rischio più grave per l’azienda, ben oltre la sanzione del Garante Privacy. La contestazione della responsabilità ex D.Lgs. 231/2001 per reati informatici può portare a sanzioni pecuniarie calcolate in quote (fino a diverse centinaia di migliaia di euro) e, nei casi più gravi, a sanzioni interdittive come il divieto di contrattare con la Pubblica Amministrazione. Inoltre, il Pubblico Ministero potrebbe disporre il sequestro preventivo del profitto del reato, un concetto che la giurisprudenza interpreta in modo estensivo, includendo qualsiasi vantaggio patrimoniale, anche indiretto, derivante dall’illecito, come il risparmio di spesa sui costi per una sicurezza informatica adeguata.
Qui si manifesta il valore difensivo cruciale di un sistema come Scudo231. Davanti al magistrato, l’ente non si presenterebbe come una vittima passiva, ma come un soggetto che può dimostrare, attraverso una ricostruzione causale scientifica, di aver predisposto un’architettura di difesa totale. Il “pacchetto probatorio” generato dal sistema includerebbe non solo i log dell’attacco bloccato, ma anche la documentazione storica dei cicli di valutazione del rischio, delle sessioni di formazione del personale tracciate digitalmente, degli audit di sicurezza e dei test di penetrazione effettuati. Questa mole di dati oggettivi e immodificabili servirebbe a provare l’efficace attuazione del Modello Organizzativo, spostando l’onere della prova e rendendo estremamente difficile per l’accusa sostenere la tesi della colpa organizzativa. Il sequestro del profitto diventerebbe inapplicabile, poiché l’ente potrebbe dimostrare di non aver conseguito alcun “risparmio di spesa”, avendo al contrario investito in sistemi di prevenzione avanzati che, pur non potendo garantire un’invulnerabilità assoluta, hanno reagito secondo protocolli predefiniti e tracciabili, limitando il danno al minimo indispensabile. L’indagine sull’ente si chiuderebbe, con ogni probabilità, con una richiesta di archiviazione.
L’incidente del 26 giugno 2026, pur non avendo intaccato i dati più critici, costituisce un caso di studio esemplare sulle conseguenze a cascata di una singola vulnerabilità. Dalla gestione della crisi reputazionale con i clienti, alla complessa interlocuzione con le Autorità amministrative e giudiziarie, ogni fase del post-incidente è un percorso in salita, costoso e denso di rischi legali. La distinzione fondamentale non risiede nell’evitare l’attacco in sé – obiettivo sempre più difficile in un panorama di minacce asimmetriche – ma nella capacità dell’organizzazione di dimostrare di aver fatto tutto il ragionevolmente possibile per prevenirlo e, una volta in corso, per neutralizzarlo. La mera compliance documentale non è più sufficiente; serve una difesa attiva, misurabile e probatoria, capace di trasformare un potenziale illecito dell’ente in una solida prova della sua stessa diligenza.